2012年9月8日 星期六

Windows : 雞尾酒法清除惡意軟體 ( malware )

前幾天同事打電話來求救,他們家的電腦不知怎麼了,Windows 7 桌面的圖示不見了,程式集裡的清單消失了,更慘的是,碟碟開啟後,在檔案總管中看起來空白一片;開完機,畫面中出現的是一堆錯誤訊息......。我利用「命令列提示字元」下「dir /a」來查詢檔案清單,其實檔案都存在,只是檔案屬性被改為隠藏而看不到;對準「工作列」想要啟動「工作管理員」,畫面只閃動一下,並未出現工作管理員。由這一切的線索看來,都像中毒的徵兆。由於同事家裡沒有第二臺桌機可掃毒,只好請同事找出備份資料用的行動硬碟,然後將電腦帶回我家,準備來「抓鬼」。哈!雖然猜到原因了,不過,還是和它奮戰了三天才解決,下面就記錄一下如何把「鬼」請出電腦的。
現在我自己用的桌機並沒有安裝任何防毒軟體,加上家裡的電腦只有我們家老婆的 Acer 1825PTZ 中有 Windows 7 ,於是我利用之前買來給 MBP 用的外接盒,將同事電腦中的 SATA 硬碟轉接後,以 USB 和我們家老婆的筆電連線 (這真是一個錯誤的決定,實在很慢),然後先將中毒電腦硬碟中的資料備份到行動硬碟中,再以「小紅傘」 掃毒。備份資料就耗去了不少時間,掃毒則是掃瞄到隔天早上,而且沒收穫,趕著上班,只好先放著不管。
有鑑於小筆電實在「不夠力」,第二回請出了我們家目前速度最快的電腦 MBP,這樣一來,就可以讓外接盒以 Firewire800 來連線,速度提昇很多。這臺 Mac 上根本沒有安裝任何防毒軟體,只好先找找有沒有 Mac OS X 上合用的軟體,最後選定了「Sophos Anti-Virus for Mac Home Edition」。不過,掃瞄了一晚,隔天驗收成果,仍毫無斬獲。
想一想,已經很久沒幫人處理中毒的電腦,還是先上網研究一下資料再戰吧!後來看到了 PPT 中的這一則


裡面描寫的情形還滿像的,於是開始照「藥單」「抓藥」並「服用」。
先將中毒的 Windows 7 按「F8」後,選「安全模式 (含網路功能)」的點單開機,連上網路以後,下載了:

BleepingComputer 的 RKill 可以先幫我們把記憶體中已執行的惡意程式先終止掉,這樣可以避免後續的「抓鬼」程式被「綁架」了。
Kaspersky 的 TDSSKiller 則可以幫我們在中毒的電腦上快速掃瞄並清除一些病毒。
Malwarebytes Anti-Malware Free 安裝以後,也是用來掃瞄並清除病毒。
BleepingComputer 的 Unhide 在解毒後,可以幫我們快速的把磁碟機中被隠藏的檔案和資料夾,甚至「機碼」復原。
本來以為利用前四支程式就解毒了,結果重新開機以後,刷~刷~刷~Windows 7 桌面上的圖示又開始一個個消失。回想了一下,在用這種「雞尾酒式除鬼法」前,曾經利用 CCleaner 在「啟動」中有看過怪怪的名稱,哈!果然在 C:\ProgramData 下的程式還藏在那裡,並沒有被清除掉。
於是只好重新再玩一次,不過,這次的「雞尾酒」再加入最後一味:進入 CCleaner 的「工具」→「啟動」,看到路徑是在 C:\ProgramData 下的怪怪程式,刪除掉該啟動項目。然後再進入到 C:\ProgramData 目錄中,將該程式刪除。至此,總算大功告成!
同事電腦的 T 牌防毒軟體已到期很久了,為了讓它有基本的防護,幫它加裝了小紅傘。雖然不知道它可以撐多久,如果沒有良好使用習慣,有防總比沒有的好。

沒有留言:

張貼留言

 
© 2009. Design by Pocket